как быть? use_trans_sid = 0; use_cookies = 1; в броузере юзера кукисы отключены

[Pavel Larin]

как быть? use_trans_sid = 0; use_cookies = 1; в броузере юзера кукисы отключены

Добрый день!
имею:
PHP Version 5.0.4
register_globals = Off
Apache/1.3.33 (Win32) PHP/5.0.4
winXP

Во всех статьях по работе с сессиями написано, что ПХП при установке сессии использует либо куки, либо SID, и в зависимости от того, разрешены ли куки у пользователя, он их выставляет либо оспользует SID.
Скачал последнюю версию PHP, в ini нашел такой блок:
; trans sid support is disabled by default.
; Use of trans sid may risk your users security.
; Use this option with caution.
; - User may send URL contains active session ID
; to other person via. email/irc/etc.
; - URL that contains active session ID may be stored
; in publically accessible computer.
; - User may access your site with the same session ID
; always using URL stored in browser's history or bookmarks.
session.use_trans_sid = 0

а как же быть, если у пользователя отключены куки в бровзере? (пусть даже и use_cookies = 1)? или я что-то не понимаю?
или просто изменить use_trans_sid на 1 и не париться?

 

[Фанат]

выбери вариант, который больше подходит тебе лично

 

[Pavel Larin]

Мне лично больше подходит, что бы было и use_trans_sid = 1, и use_cookies = 1. я так привык !считать!
и пусть пользователь выставляет в своем броузере что хочет....

просто подумал, может люди в ПХП с серьезным умыслом это (use_trans_sid = 0) сделали?

 

[Фанат]

с серьёзным.
весь умысел пояснён.
тебе решать, ограничить свободу пользорвателей или уменьшить безопасность.

 

[Pavel Larin]

я уж понял.
для начала снизил безопасность, позже посмотрю статистику посещений, и если сочту нужным, закрою SID, оставлю только куки.
Спасибо за ответы.

 

[Фанат]

есть несколько способов повысить безопасность при использовании _trans_sid
самый простой - писать в сессию все доступные ip адреса пользователя, и проверять их.
в этом случае резко снизится возможность использования идентификатора другим пользователем.

 

[Pavel Larin]

не очень понял.
что значит все_доступные?
можно чуть подробнее это описать?

 

[Фанат]

попиши в лог-файл содержимое getallheaders() на своём сайте.
сразу увидишь. честное слово.